Polityka prywatności

Polityka opisuje, jak zbieramy, przechowujemy i wykorzystujemy dane osobowe osób korzystających ze strony oraz wypełniających formularze kontaktowe. Pełni rolę informacji wymaganej art. 13 RODO.

1. Kto jest administratorem danych

Administratorem danych osobowych jest TURKUĆ spółka z ograniczoną odpowiedzialnością z siedzibą pod adresem ul. Miła 4a, Granice, 96-515 Teresin, NIP 8371889756, REGON 545720100, KRS 0001265914, wpisana do rejestru przedsiębiorców prowadzonego przez Sąd Rejonowy dla Łodzi-Śródmieścia w Łodzi, XX Wydział Gospodarczy Krajowego Rejestru Sądowego. Spółka prowadzi placówkę pod marką Brain Studio, pod adresem ul. Ojca Maksymiliana Kolbego 85, 1. piętro, 96-515 Paprotnia.

Kontakt w sprawach związanych z przetwarzaniem danych: hej@brainstudio.pl. Nie wyznaczyliśmy inspektora ochrony danych - przy tej skali działalności nie mamy takiego obowiązku.

2. Jakie dane zbieramy

Dane osobowe zbieramy wyłącznie z tego, co przekazujesz nam świadomie w formularzach. Osobno, na końcu tej listy, opisujemy dwie rzeczy, które powstają bez wypełniania formularza: dane techniczne i identyfikator sesji przeglądarki.

• Formularze kontaktowe i zapisowe - imię i nazwisko, numer telefonu, opcjonalnie adres e-mail, imię i wiek dziecka, informacje o zajęciach lub usłudze, której dotyczy zgłoszenie.
• Formularz urodzinowy - imię i wiek dziecka, planowana data, liczba gości, wybrany pakiet, dane kontaktowe rodzica oraz deklaracja alergii i nietolerancji pokarmowych. Przy wspólnym przyjęciu dwóch rodzin („Podwójne urodziny”) rodzic składający rezerwację podaje także adres e-mail drugiego rodzica - patrz niżej, „Dane, których nie dostaliśmy od Ciebie”.
• Odpowiedź na zaproszenie urodzinowe - imię dziecka, informacja o obecności oraz o alergiach i nietolerancjach pokarmowych dziecka (także odpowiedź, że ich nie ma). Służy wyłącznie bezpiecznemu podaniu poczęstunku.
• Formularz partnera - imię i nazwisko, e-mail, telefon, zawód, opis proponowanej oferty, ewentualne linki do strony lub social media.
• Pomysły na zajęcia - treść pomysłu, opcjonalnie wiek dziecka, dane kontaktowe (możesz pozostawić anonimowo).
• Dane techniczne - adres IP, typ przeglądarki, źródło wejścia na stronę (parametry UTM), informacje z plików cookies oraz z pamięci lokalnej i pamięci sesji przeglądarki. Narzędzia analityczne i marketingowe uruchamiamy dopiero po Twojej zgodzie, ale część drobnych zapisów funkcjonalnych trafia na urządzenie bez bramki zgody - wszystkie są wymienione co do jednego w Polityce cookies.
• Identyfikator sesji przeglądarki - losowy identyfikator (UUID) nadawany przy wysłaniu zapisu dziecka z kalendarza zajęć na stronie głównej, przechowywany w przeglądarce (fh_session_id w pamięci lokalnej, fh_sid jako cookie na 730 dni) i nadawany bez bramki zgody. Sam w sobie nie jest daną osobową: nie zawiera imienia, adresu e-mail, adresu IP ani odcisku urządzenia. Staje się jednak pseudonimem w chwili, w której wyślesz formularz - zapisuje się wtedy przy zgłoszeniu, obok Twoich danych kontaktowych, i od tego momentu pozwala powiązać z Tobą wcześniejsze anonimowe kliknięcia w planerze. Więcej o tym w sekcji 6 i w Polityce cookies.
• Dane pomiaru kampanii z kodów QR - oznaczenie kodu QR, z którego nastąpiło wejście (krótki kod w parametrze utm_content), oraz zagregowany log zeskanowań kodów QR (oznaczenie kodu, czas, host strony odsyłającej - bez adresu IP, bez informacji o przeglądarce, bez powiązania skanu ze zgłoszeniem). Oznaczenie kodu nie identyfikuje osoby: ten sam kod ma każdy, kto zeskanował ten sam plakat. Po stronie przeglądarki trzymamy je w dwóch wpisach pamięci lokalnej (fh_first_touch_qr i fh_last_touch_qr) i wyłącznie po zgodzie na analitykę; sam log skanów prowadzimy po naszej stronie i nie zakłada on niczego na Twoim urządzeniu. Patrz Polityka cookies.

Dane, których nie dostaliśmy od Ciebie (art. 14 RODO)

Jedyny taki przypadek to adres e-mail drugiego rodzica przy „Podwójnych urodzinach”. Podaje go w formularzu rezerwacji rodzic, który organizuje wspólne przyjęcie - nie osoba, której adres dotyczy. Używamy go tylko po to, żeby założyć drugiemu rodzicowi konto w panelu rodzica i dać mu dostęp do tego samego przyjęcia (lista gości, zaproszenia). Skąd mamy adres i po co, piszemy w pierwszej wiadomości wysłanej na ten adres. Adres może zmienić wyłącznie nasz zespół, na prośbę któregokolwiek z rodziców; konto usuwamy na żądanie jego właściciela.

3. W jakim celu i na jakiej podstawie prawnej

1. Kontakt zwrotny i obsługa zgłoszenia - art. 6 ust. 1 lit. b RODO (działania przed zawarciem umowy) oraz lit. a (Twoja zgoda zaznaczona w formularzu).
2. Konto drugiego rodzica przy „Podwójnych urodzinach” - art. 6 ust. 1 lit. f RODO (nasz prawnie uzasadniony interes i interes obojga rodziców: wspólne zaplanowanie przyjęcia, które razem organizują).
3. Informacje o alergiach i nietolerancjach pokarmowych dzieci - art. 9 ust. 2 lit. a RODO: Opiekun podaje je dobrowolnie i wyraźnie w tym jednym celu - żebyśmy mogli bezpiecznie podać poczęstunek. Do niczego innego ich nie używamy.
4. Pomiar ruchu na stronie (Google Analytics 4) - art. 6 ust. 1 lit. a RODO (Twoja zgoda wyrażona w bannerze cookies).
5. Analityka produktowa i nagrania sesji (PostHog) - art. 6 ust. 1 lit. a RODO (Twoja zgoda na analitykę wyrażona w bannerze cookies). PostHog hostowany jest w Unii Europejskiej, a nagrania sesji maskują pola formularzy (nie zapisujemy wpisywanej treści).
6. Pomiar skuteczności kampanii z kodów QR - art. 6 ust. 1 lit. a RODO (Twoja zgoda na analitykę wyrażona w bannerze cookies) dla dwóch wpisów w pamięci lokalnej przeglądarki, w których trzymamy oznaczenie kodu QR. Zagregowany log skanów prowadzimy po naszej stronie: nie zapisuje niczego na Twoim urządzeniu i nie pozwala wskazać osoby.
7. Zestawianie kliknięć w planerze z wysłanym planem (identyfikator sesji przeglądarki) - liczymy, ilu rodziców otworzyło daną pracownię i ilu z nich wysłało potem plan. Identyfikator jest nadawany bez bramki zgody i jest opcjonalny: przeglądarka z zablokowanym zapisem po prostu go nie ma i jest liczona tak samo.
8. Reklama i remarketing (Meta Pixel) - art. 6 ust. 1 lit. a RODO (Twoja osobna zgoda wyrażona w bannerze cookies).
9. Prowadzenie ewidencji zgłoszeń, rozliczenia i obowiązki podatkowe - art. 6 ust. 1 lit. c RODO (obowiązki prawne ciążące na administratorze).

4. Jak długo przechowujemy dane

• Dane z formularzy kontaktowych - do 24 miesięcy od ostatniego kontaktu.
• Dane uczestników zajęć i umów - przez okres trwania umowy oraz 5 lat po jej zakończeniu (przepisy rachunkowe).
• Adres e-mail i konto drugiego rodzica przy „Podwójnych urodzinach” - przez czas istnienia konta, nie dłużej niż dane przyjęcia, którego dotyczy; wcześniej na żądanie właściciela konta.
• Dane cookies analitycznych - zgodnie z ustawieniami GA4, domyślnie 14 miesięcy.
• Dane analityki produktowej (PostHog) - zgodnie z ustawieniami retencji PostHog, a nagrania sesji nie dłużej niż okres retencji ustawiony dla nagrań.
• Wpisy atrybucji kampanii z kodów QR (fh_first_touch_qr, fh_last_touch_qr) leżą w pamięci lokalnej Twojej przeglądarki i nie mają własnej daty wygaśnięcia - zostają do wyczyszczenia danych strony. Zagregowany log skanów przechowujemy w formie zbiorczej, bez identyfikacji osoby.
• Identyfikator sesji przeglądarki - fh_sid 730 dni w cookie (bez rotacji), fh_session_id w pamięci lokalnej do wyczyszczenia danych strony. Log kliknięć w planerze (class_interest_events) nie ma dziś ustalonego okresu retencji ani automatycznego kasowania - piszemy to wprost, zamiast podawać termin, którego nie ma.
• Dane cookies marketingowych - zgodnie z polityką Meta, do 90 dni.

5. Komu udostępniamy dane

Dane mogą być udostępniane wyłącznie podmiotom, z którymi współpracujemy w celu świadczenia usług:

• Dostawcom hostingu i infrastruktury (Vercel, Supabase) - w ramach przetwarzania na nasze zlecenie, w UE.
• Dostawcom narzędzi analitycznych (Google, PostHog - hosting w UE) i marketingowych (Meta) - wyłącznie po wyrażeniu przez Ciebie zgody.
• Operatorom usług powiadomień (Telegram) - w zakresie samego faktu wysłania zgłoszenia.
• Podmiotom uprawnionym na podstawie przepisów prawa (sądy, organy podatkowe) - jeśli zostaniemy do tego zobowiązani.
• Partnerom prowadzącym zajęcia - firmom i osobom, które prowadzą u nas własne zajęcia i same pobierają za nie opłatę. Partner dostaje wtedy dane kontaktowe rodzica zapisanego na swoje zajęcia (imię i nazwisko, e-mail, telefon) oraz imię i wiek dziecka - tyle, ile potrzeba, żeby skontaktować się z Tobą w sprawie tych zajęć. Partner nie dostaje od nas informacji o płatnościach ani o Twoim koncie. Dzieje się to tylko przy zapisie na zajęcia partnera i tylko po zaznaczeniu zgody na kontakt w formularzu zapisu - formularz wskazuje wtedy nazwę konkretnej firmy, która dostanie dane, zanim je podasz.

Nie sprzedajemy Twoich danych. Nie przekazujemy ich poza Europejski Obszar Gospodarczy bez zabezpieczeń wymaganych przez RODO.

6. Twoje prawa

Masz prawo do:

• dostępu do swoich danych i otrzymania ich kopii,
• sprostowania (poprawiania) danych,
• usunięcia danych („prawo do bycia zapomnianym”),
• ograniczenia przetwarzania,
• przenoszenia danych,
• wniesienia sprzeciwu wobec przetwarzania,
• cofnięcia zgody w dowolnym momencie (bez wpływu na zgodność z prawem przetwarzania przed cofnięciem),
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (uodo.gov.pl).

Aby skorzystać z któregokolwiek z praw, napisz na hej@brainstudio.pl. Odpowiemy w terminie miesiąca od wpływu żądania.

Jak dziś działa usunięcie danych. Skasowanie Twojego zgłoszenia kasuje razem z nim wysłany plan zajęć - pozycje planu są przypięte do zgłoszenia kaskadą ON DELETE CASCADE, więc znikają tym samym ruchem. Nie znikają natomiast wiersze anonimowego licznika kliknięć w planerze: nie są po stronie bazy powiązane ze zgłoszeniem i nie mają własnego terminu usunięcia, więc zostają - z tym samym identyfikatorem sesji, który wcześniej stał przy Twoim zgłoszeniu.

Identyfikator sesji żyje w przeglądarce 730 dni i się nie zmienia, więc kolejne zgłoszenie wysłane pół roku po usunięciu danych przyniesie ten sam identyfikator i przywróci możliwość złączenia z całym strumieniem kliknięć sprzed usunięcia. Jeśli chcesz tę ciągłość przerwać - wyczyść cookies oraz dane strony w przeglądarce; dostaniesz wtedy nowy identyfikator, a stary nie będzie miał jak wrócić.

7. Pliki cookies

Strona korzysta z plików cookies. Szczegóły - z podziałem na cookies niezbędne, analityczne, marketingowe i preferencyjne - znajdziesz w Polityce cookies. Ustawienia możesz w każdej chwili zmienić, klikając „Ustawienia cookies” w stopce strony.

Podział na kategorie zgody nie obejmuje wszystkiego: część drobnych zapisów funkcjonalnych trafia na urządzenie bez bramki zgody - identyfikator sesji przeglądarki (fh_sid, fh_session_id), jednorazowe znaczniki „już to widziałeś” zapisywane naraz w cookie, pamięci lokalnej i pamięci sesji, zapamiętane ustawienia ekranu oraz roboczy szkic zamówienia z konfiguratora, w którym może siedzieć podany przez Ciebie adres e-mail. Polityka cookies wymienia je co do jednego, razem z miejscem zapisu i czasem przechowywania.

W kategorii analitycznej (po zgodzie na analitykę) działa pomiar kampanii z kodów QR: dwa wpisy w pamięci lokalnej przeglądarki - fh_first_touch_qr i fh_last_touch_qr - w których trzymamy oznaczenie kodu QR, z którego nastąpiło wejście. Nie są to cookies i nie mają własnej daty wygaśnięcia. Wcześniejsze wersje tej polityki wymieniały w tym miejscu cookie familyhub.qr_attribution; taki mechanizm nigdy nie powstał i nic go nie zapisuje. Pełny opis tej kategorii znajdziesz w Polityce cookies.

8. Zmiany polityki

Politykę aktualizujemy w miarę zmian w przepisach lub naszej działalności. Każda nowa wersja jest publikowana na tej stronie z datą aktualizacji.

9. Kontakt

W sprawach dotyczących prywatności i danych osobowych pisz na hej@brainstudio.pl.